NPO waarschuwt voor nepmail die kinderen seksuele 'auditievideo' laat insturen

De Nederlandse Publieke Omroep waarschuwt op de eigen sites voor een nepmail die de ronde doet. Daarin lijkt NPO Zapp kinderen op te roepen om voor een jeugdserie een video in te sturen waarin ze praten over seksuele handelingen. Daarmee zouden ze auditie doen voor de serie.

De niet-bestaande jeugdserie heet Nina's Zomer en de nepmail bevat een scriptfragment voor de auditie, meldt de NPO. De waarschuwing staat ook op de site van Zapp, de jongerentak van de NPO.

Het domein waarvan de mail afkomstig was, zappnpo.nl, is niet van de NPO. De mail is vermoedelijk nog niet lang in omloop. Uit informatie van Stichting Internet Domeinregistratie Nederland blijkt dat het domein afgelopen vrijdag geregistreerd werd. Het juiste domein van Zapp is npozapp.nl. Het domein zappnpo.nl is inmiddels in quarantaine geplaatst.

De NPO kwam erachter doordat ouders contact opnamen om te checken of de mail echt was. Daarop besloot de NPO de waarschuwing te plaatsen. Het is onbekend of en hoeveel kinderen en jongvolwassenen een auditievideo hebben ingestuurd.

e-mail, mailen, e-mailbestand. Bron: Getty Images (1585385203)

Reacties (40)

[Raymond Deen]

Je moet toch te achterhalen zijn wie degenen achter dit domein zijn. Registrars bieden dan wel anonimiseren van hun klanten aan, maar ze mogen geen strafbare acties faciliteren. Team blue is de betreffende registrar en die zal echt niet riskeren dat er strafrechtelijk tegen ze wordt opgetreden in zulke gevallen. Waarschijnlijk zijn de boefjes hun gegevens allang doorgegeven aan de autoriteiten.

[The Zep Man]

Je moet toch te achterhalen zijn wie degenen achter dit domein zijn.

Het moet niet. Vaak kan het. Een (nep)identiteit uit een land dat niet uitlevert of diens katvanger heb je niets aan.

[Raymond Deen]

Er is van alles mogelijk. Wie heeft betaald voor het domein (bankrekening)? Wie heeft aan een eventuele katvanger betaald en hoe? Geldstromen volgen. Dan is de website nog gevuld met content vanaf een ip adres, de mailtjes zijn verstuurd van een ip adres. Al dat soort informatie kan nagegaan worden en eigenaren van mailservers die als relay hebben gediend, kan ook weer druk op worden uitgeoefend. Er zijn een heleboel mogelijkheden meer nog dus op veel verschillende manieren kunnen ze de fout in gegaan zijn waardoor ze toch te achterhalen zijn.

[The Zep Man]

Er is van alles mogelijk. Wie heeft betaald voor het domein (bankrekening)? Wie heeft aan een eventuele katvanger betaald en hoe? Geldstromen volgen.

Gewassen crytocurrency. Desnoods via een tweede katvanger die wel van cryptocurrency afweet ("dit deel hou je lekker zelf, dit deel maak je via je bankrekening over naar (...)").

Dan is de website nog gevuld met content vanaf een ip adres, de mailtjes zijn verstuurd van een ip adres. de mailtjes zijn verstuurd van een ip adres.

Tor node. Gratis maildienst.

Al dat soort informatie kan nagegaan worden en eigenaren van mailservers die als relay hebben gediend, kan ook weer druk op worden uitgeoefend.

Bulletproof hosting in een land dat geen informatie afstaat.

Er zijn een heleboel mogelijkheden meer nog dus op veel verschillende manieren kunnen ze de fout in gegaan zijn waardoor ze toch te achterhalen zijn.

En er zijn een heleboel mogelijkheden om opsporen te duur/lastig te maken.

Ik hoop dat degenen die hierachter zitten gepakt worden, maar heb geen verwachtingen hierover (goed of slecht). Daarover weet ik te weinig van deze casus. Van wat we wel weten kan het alle kanten op gaan.

[Reactie gewijzigd door The Zep Man op 22 september 2026 18:29]

[i-chat]

als jij als bedrijf crypto ondersteunt ben je wat mij betreft behulpzaam bij het plegen van een misdrijf.

het willens en wetens faciliteren van diensten in de wetenschap dat deze primair gebruikt worden voor misdrijven is gewoon strafbaar.

[The Zep Man]

als jij als bedrijf crypto ondersteunt ben je wat mij betreft behulpzaam bij het plegen van een misdrijf.

Twee personen kunnen onderling cryptocurrency uitwisselen met elkaar zonder een externe partij ertussen. Zijn banken verantwoordelijk als criminelen elkaar contant betalen?

het willens en wetens faciliteren van diensten in de wetenschap dat deze primair gebruikt worden voor misdrijven is gewoon strafbaar.

Doe zeker aangifte, als je dit denkt.

[Reactie gewijzigd door The Zep Man op 22 september 2026 18:37]

[smarthome1]

Dan is de website nog gevuld met content vanaf een ip adres, de mailtjes zijn verstuurd van een ip adres. 

Dan kom je meestal uit bij een vpn/proxydienst, of een gehackt apparaat (of router) waar de eigenaar niet van weet dat deze spam-emails verspreid.

Er zijn weinig hackers/spammers die hun eigen (thuis-)IP gebruiken.

[Oon]

Je kunt bij veel internationale registrars gewoon óók een .nl-domeinnaam bestellen, met Bitcoin betalen en via een VPN afrekenen, en dan niet-bestaande gegevens invullen. Geen verdere KYC, en als je op diezelfde manier meteen hosting meebestelt of je mail via Proton laat lopen komt niemand er zomaar achter wie je bent.

[Ascathon]

Waar is deze email dan heen gegaan? Gewoon naar iedereen in de spam-lijst en dan maar hopen dat de juiste "doelgroep" toehapt? En de rest is gewoon bijkomende schade?

Maw: Er is geen NPO lijst van een server vandaan getrokken?

[The Zep Man]

Waar is deze email dan heen gegaan? Gewoon naar iedereen in de spam-lijst en dan maar hopen dat de juiste "doelgroep" toehapt?

Er lekken vaak genoeg gegevens. Als gegevens lekken van een dienst die zich richt op kinderen (Roblox, etc.) met daarin geboortedatums/vinkjes die minderjarigen oormerken, dan heeft men "goud".

[Ascathon]

Ah ja, das waar. Op die manier kun je targetten.

[mahsalti]

Sorry dat ik dit hier plaats, maar het zou eens wat zijn als de straffen op dit soort dingen gewoon iemand echt fataal moeten worden. Zolang je er makkelijk mee weg komt zal het blijven terugkomen. Ik werd als kind altijd beschermd tegen "kinderlokkers" dit is niet minder als dat.

[i-chat]

probleem is eigenlijk altijd,

A: kun je het bewijzen -> want 20 jaar cel onterecht (puttense moordzaak), is als erg maar de naald onterecht, het zal je vader of je kind maar zijn die hiervoor dood moet!

B: in beginsel heeft ieder mens recht op een kans tot boetedoening, want anders kunnen we de politie wel afschaffen en de boze broer zijn gang laten gaan, met constante escalatie tot gevolg. boete doen, schade herstel, je straf uitzitten je door een psychiater laten behandelen en terug de maatschappij in.
Stel je voor dat de eerste keer nadat jij een 5je uit je moeders tas had gejat ze je gelijk met kop-en-kont op straat had gezet: kinderen die jatten zijn geen kinderen van mij!... zou je dat niet onredelijk wreed vinden?

C: anderzijds snap ik je reactie natuurlijk heel goed, want 1: we betalen ons scheel aan overvolle gevangenissen, 2: we willen een voorbeeld stellen 3: we willen dat er een permanente verbetering is in de veiligheid van onze kinderen...
---> er is alleen wél een belangrijke kanttekening te maken, uit jaren lang wetenschappelijk onderzoek weten 'we' dat strenger straffen eigenlijk nooit helpt, sterker nog, er is juist correlatie tussen strenger straffen en gewelddadiger gedrag, waarvan wordt gedacht dat er mogelijk ook een oorzakelijk verband is.
---> volgens de heersende wetenschappelijke mening zou je in plaats van strenger straffen juist vaker moeten straffen... verhoog de kans dat je gepakt wordt en je hebt veel meer impact dan wanneer je een minuscule kans hebt dat je gepakt wordt.

[Wouterie]

Bij seksuele delicten zou je er nog voor kunnen kiezen om de 'kern van het probleem' te verwijderen. Maar goed; bij dieven hakken we de handen ook niet meer af, dus wellicht is die oplossing ook wat gedateerd.

[virtualpimp]

Domein is al snel in quarantine, goede actie. Zo zal het lastiger door de spamfilters komen.

[HenkEisDS]

Slechte nick (voor dit onderwerp).

[virtualpimp]

PIMP staat voor Professional In Management Position. Gewoon management dus 😎

[lasermen]

Dat zegt nog niet wat je dan manage
Je kan dan prima de rol van waar het woord meest om bekend staat uitvoeren

[bazs2000]

Slogan is ook zo bedacht.

For the money you spend we give you a fairytale with a happy end.

[Justevo]

In de categorie "dingen die je bloed laten koken" komt zoiets wel met stip op 1 binnen.

[rcdbee89]

Gelijk de mensen met het busje ophalen die het domein hebben geregistreerd.

Dit soort dingen kan ik boos van worden

[HollowGamer]

Wordt je ook boos om het feit dat iemand wordt opgepakt met CP, en dan maar even de cel in hoeft: https://nos.nl/artikel/26...eld-voor-kinderpornobezit

Je kunt deze mensen wel ophalen, maar echt vastzitten hoeven ze nooit. Dus iemand kan dit doen, en dan naar een halfjaar weer buitenstaan. Persoonlijk kan ik daar het meest boos om worden (te lage straffen hier in NL).

[oltk]

Oh? Ik lees maximaal 8 jaar.
https://www.rijksoverheid.nl/themas/recht-veiligheid-en-defensie/seksuele-misdrijven/kinderporno/kinderporno-is-strafbaar

[HollowGamer]

De maximale straf wordt vrijwel nooit opgelegd.

[kodak]

In principe is dit strafbaar en dus genoeg reden om aangifte bij de politie te doen als je kind zo'n mail ontvangen heeft. Alleen contact op (laten) nemen met npo lijkt me dus niet de bedoeling. Natuurlijk zal npo waarschijnlijk willen helpen (en die hebben eigen belang om de omvang van het probleem te weten), maar je bent als ouders ook zelf verantwoordelijk om de keuze te maken om naar de politie te gaan.

[Reactie gewijzigd door kodak op 22 september 2026 18:04]

[stftweaker]

Waar is de aivd? Waar is de politie? Er zijn meer bevoegdheden dus dit moet een eitje zijn. Natuurlijk is er een "mule" gebruikt maar als je die kan squeezen. Die gaat niet zitten voor dit.

[Bergen]

Er hoeft geen mule te worden gebruikt. Iedereen ter wereld kan een .nl-domein op zijn naam zetten. Dus kies een willekeurige (niet bestaande) persoon in een vreemd land, zoek een hoster waar je kunt betalen via bitcoin, en je hebt een anoniem domein.

[i-chat]

aivd inzetten voor een scam mail is, hoe ziekelijk het onderwerp ook wel een beetje alsof je een atoombom gooit op het huis van een dronken bestuurder.

dat lijkt me niet alleen onwenselijk maar ook nog eens ongelofelijke verspilling van mankracht die bedoeld is voor heel andere dreigingen. laat hier gewoon een team digi-recherge naar kijken en laten we als dat nodig is ook kijken naar anti bitcoin wetgeving als blijkt dat er daarmee betaald is.

[HollowGamer]

We weten allemaal dat CP gebruikt wordt als argument om meer te mogen hacken en verzamelen. Uiteindelijk is het allemaal een excuus, en doet de AIVD/Politie vrij weinig, want er zijn te weinig middelen, daarnaast is het echt geen leuk werk (veel ontwikkelen serieuze klachten). Dan gaat het al snel internationaal, maar ook daar is het vaak lastig en tijdrovend.

Ga maar eens achter de wraakacties van iemand aan, wat geen CP is (pesten hoort daar ook bij). Zelfs daar doen ze vrij weinig tegen, tenzij je een BN'er bent, dan kan het opeens wel (helaas waar).

[afnay]

Als de NPO als organisatie nu eens gewoon zou werken met subdomeinen ?

Hoe moet iemand anders weten of npozapp.nl of zappnpo.nl het echte domein is zonder eerst naar een of andere domain whois te moeten kijken ?

Als je iemand leert hoe domainnamen werken, kan die persoon zelfstandig een goede afweging maken of zapp.npo.nl bij de npo kan horen of niet.

Dan moet je ook niet jaren lang ongebruikte domeinnamen blijven onderhouden uit vrees voor phishing.

Trouwens het domein npozap.nl kan iemand nog registeren zonder problemen... Lijkt me evident als je naast zapp wellicht ook zap nodig hebt. Jaren geleden was het ook al digg of diggg zeker als je s'namiddag als aan het dig-en bent geweest met DNS op het werk ?

[Keypunchie]

Lost het probleem niet op. Kwaadwillenden hoeven alleen maar iets te registreren dat er op lijkt en vervolgens zullen de meeste aannemen dat het legitiem is (want weten wij veel dat npo altijd netjes subdomeinen gebruikt)

[cruysen]

Juist, je kunt er veel opvangen. Maar b.v. NPQ.nl of NP0.nl zijn ook voorbeelden die gebruikt kunnen worden. Dus met het subdomein ZAPP.NP0.nl zal bij veel niet opvallen.

Het is goed dat ouders dit bij de NPO hebben nagevraagd of dit van hen kwam.
Ik neem aan dat de NPO en de ouders ergens online aangifte kunnen doen bij de politie?
Al is het maar voor de statistieken zodat ze de cyberpolitie meer aandacht kunnen geven.

[HollowGamer]

Subdomeinen wordt niet gesnapt door mensen. Die vullen dan in zapp.npo in i.p.v. zapp.npo.nl in.

NPO laat daarom best veel subdomeinen vallen voor echte 'paden'. Dat is met navigeren ook eenvoudiger, en tegenwoordig kan je ook prima daarop een proxie zetten.

Domeinnamen zijn ook erg duur. Ik ben juist blij dat ze afstappen van al die 10.000 domeinnamen: YouTube: Waarom heeft de overheid zoveel websites | De avondshow met Arjen Lu...

[jpsch]

zieke geesten